@amoeba Эти ключи уже у вас, их можно экспортировать импортировать при миграции, если мне не изменяет память. По идее и сейчас должны быть картинки (года 2 назад были только буковки). Ключ можно привязать к паролю, но, как вы знаете, пароль это очень ненадежно для того что бы им шифровать - его достаточно легко для текущего уровня технологий подобрать: чем больше данных этим зашифровано тем легче. По этому шифруются ключами. Подход большинства популярных мессенджеров в том, что ключ хранится у них, когда вы логинитесь с нового устройства вам его выдают и хорошо, если он был хотя бы зашифрован вашим паролем (а не как в вазапах просто выдали по номеру телефона и "честное слово,только хранили и не смотрели") Но опять же, при большом желании, если пароль ваш не символов 50 можно расковырять (мы ведь говорим о суперкомпаниях с невероятным вычислительным арсеналом), а еще он может утечь и его могут расковырять умельцы и получить доступ ко всему, что вы когда либо писали =>

@amoeba кроме того, большинство людей пользуются паролями вроде password1 или qwerty, а значит в большинстве случаев что общение с человеком с таким паролем (или без паролей вообще, как вазапе) открывает доступ к переписке с Вами, у которого хороший пароль. Как бы я не говорю, что это плохо - для большинства людей, на самом деле, это приемлемый уровень защиты, без шуток, и, конечно, такой подход как в матриксе для большинства людей просто неприемлем, да им и не нужно! Но, согласитесь, как же круто звучит - высший уровень защищенности и шифрования по умолчанию! Вот только матрикс это имеют в виду, а телеграммы-скайпы - нет =)

@amoeba ну а по поводу мелких интерфейсных недочетов - я периодически полыхаю тут насчет матрикса, Вы ни разу не застали? Моя проблема в том, что я вкладывал в него большие надежды года 3 - 4 назад. Мне казалось, что проект подает надежды и новое слово в области связи, осталось только мелкие недочеты типа вот этого исправить в интерфейсе и все будет хорошо. Время шло, а до меня доходило, что федерацию придумали не матрикс, что открытые протоколы существовали и до них, что и шифрование у них тоже не совсем свое (в основе лежит алгоритм из Signal). А когда попытался поднять свой узел - понял как все это ужасно еще и внутри. И вот около года назад, когда оставил свой мессенджер nheko его главный разработчик, тк разочаровался в матриксе, я осознал, что за все это время проект может быть что то и делает, но ни на йоту не приблизился к тому, что бы решить те проблемы, которые я считаю ключевыми =>

@amoeba => конференции как были так и остались такими себе - вроде работающими, но не у все, не всегда и не дольше 5 минут. Надежнее работает плагин джитси, но и сам джится работает намного лучше без матрикса. Клиент как был написан на инструменте для прототипирования так на нем и написан. Как был основной сервер жрущим глючным поделием студентов на питоне в который вхардкожен вебсервер со своим клиентом (очень неудобно его поднимать рядом с другими сервисами) - так оно и осталось, форматирование текста - вроде есть, но воспользоваться нельзя, оно либо сломано у тебя сейчас либо у собеседника с предыдущей версией матрикса (серьезно, я ни разу не смог коллегам показать отформатированный код более чем за 2 года использования). Вот эта штука с шифрованием - это вы меня слушаете, а с другими собеседниками у меня разговор заканчивался обычно на выводе о том что оно какое-то не такое и не работает что-то и чет хочет постоянно. Я утратил в него веру, проще говоря =)

@amoeba linux.org.ru/news/opensource/1 вот, кстати, пишут что наладили, все проблемы решили и все стало хорошо. Как вам, наладилось?) И видите что предлагают? Стрельнуть ключ у собеседника, что бы расшифровать беседу у себя (не выглядит очень надежным на первый взгляд), похранить ключи на сервере - об этом мы с вами уже говорили менее надежно, но хотя бы как-то. Подтверждение устройств что бы не приходилось тыкать 100500 раз, но, и тут что-то пошло не так

@blue
Они ещё вроде добавили поиск по истории зашифрованных сообщений. Как я понял, база данных с индексируемыми сообщениями. Очередная дыра в безопасности. Ещё одна дыра, перекрестное подтверждение, когда остальные устройства пользователя потдверждаются автоматически и плевать на то, что в этот момент может произойти компрометация. Зачем вообще нужны были тогда эти "танцы" с индетификацией устройств, непонятно. Похоже Riot плавно превращается в подобие telegram.
Я все жду, что может кто-нибудь форкнет Jami и прикрутит к нему e2e шифрование.
В мире opensource последнее время все через одно место. Bitmessage заброшен, из мессенджеров ничего нормального не появилось. А то что есть, куда-то катится на поводу у проприетарщины.
@amoeba@mastodon.ml

@markor Просто матрикс - несколько искусственное сообщество - компания Нью Вектор как инвестор вроде как подавляющий если не единственный инвестор проекта. В этом смысле они крайне финансово заинтересованы в привлечении и удержании аудитории - однако ситуация с шифрованием по настоящему запутывает пользователей (но без этого настоящее e2e(eeee) невозможно, и обывателя не переубедить, ведь он свято верит, что телеграм - самое безопасное и надежное в мире по), для этого все эти упрощения и дыры. Кроме того целевая аудитория Riot - аудитория Slack у которого тоже "зато все хотя бы работает", правда мало кто знает как и чно на самом деле не совсем. Если Вам и правда интересна эта тема - очень рекомендую обратить взор на XMPP, последнее время тут очень активно обсуждаются улучшения в оконечном шифровании @amoeba

@blue @markor @amoeba Мне вот всегда интересно было, как можно доверять e2e шифрованию которое ты не настроил самостоятельно? Уж лучше его отсутсвие, чем иллюзия защищённой жопы.

@savant
Можно, если видеть исходники и поднять собственный сервер, ну или хотя бы использовать доверенный сервер.
@amoeba@mastodon.ml @blue

@markor @amoeba @blue это уже попадает под "настроил самостоятельно". И то с большими оговорками в плане применённого шифрования, того как именно ключи генерятся и т.п.

А доверенный сервер не значит что паяльник в жопе его администратору не склонит его к сотрудничеству с товарищем майором.
Follow

@savant
Данный товарищ может действовать на территории не всех государств. Поэтому к выбору доверенного сервера нужно подходить в том числе с позиции географического местоположения и правоприменительной практики в конкретной стране.
@amoeba@mastodon.ml @blue

Sign in to participate in the conversation
CleverLibre Social

CleverLibre Social is an inclusive social instance for open discussion, learning, and community.
All cultures welcome.
Hate speech and harassment strictly forbidden.